RAM-only (nur im Arbeitsspeicher): Ausführung der Kernmodule

Kernmodule laufen RAM-only. Während der Ausführung wird nichts auf die Festplatte geschrieben, sodass ein gestoppter Zyklus keine ausführbaren Rückstände hinterlässt.

Was läuft RAM-only?

Kernmodule. Ihr Code wird nicht auf die Festplatte geschrieben, während der Zyklus ausgeführt wird.

Was wird auf die Festplatte geschrieben?

Ergebnisprotokolle und Signaturen. Die ausführbaren Module selbst bleiben während der Ausführung nicht auf der Festplatte bestehen.

Ersetzt das die Signierung?

Nein. RAM-only-Ausführung und Signierung sind getrennte Schichten; beide gelten. Signierung erkennt Änderungen; die RAM-only-Ausführung verhindert Rückstände.

Welchen Sicherheitsvorteil bietet das?

Ein gestoppter Zyklus hinterlässt keine ausführbaren Rückstände auf der Festplatte. Das hindert Angreifer daran, den ausführbaren Code nach einem Zyklus zu analysieren.

Wie wird der Speicher verwaltet?

Die Kernmodule laufen im RAM. Nach dem Zyklus wird der Speicher freigegeben. Die Protokolle und Signaturen bleiben für den nächsten Zyklus erhalten.